必须加引号以防本地解析，需显式source环境配置，且首次连接要处理主机密钥确认或启用stricthostkeychecking=no。
能直接用 ssh user@host 'command' 就别绕弯子——但必须加引号、注意环境变量、处理首次连接提示，否则命令看似执行了，实则在本地跑或根本没生效。
为什么单引号/双引号不能省
不加引号时，shell 会在本地解析空格和分号：ssh user@host ls -l /tmp 实际上只把 ls 当作远程命令，-l 和 /tmp 会被本地 shell 拆开传给 ssh，导致远程只运行了 ls（无参数），结果常为空或报错。
- 用双引号
"ls -l /tmp && df -h"：支持变量展开（如"echo $HOME"），但需防本地变量污染 - 用单引号
'ls -l /tmp && df -h'：完全禁止本地展开，更安全，推荐用于纯远程命令 - 多个命令必须用分号
;或逻辑操作符&&/||连接，且整个字符串要被引号包裹
远程命令找不到 java、docker-compose 等命令怎么办
因为非交互式 SSH 默认不加载 ~/.bashrc 或 ~/.profile，PATH 和环境变量（如 JAVA_HOME）为空。这不是权限问题，是 shell 启动模式差异导致的。
- 最简方案：在命令前显式 source 配置文件，例如
ssh user@host 'source ~/.bashrc; java -version' - 更稳妥做法：把
source ~/.bashrc写进远程脚本第一行（不是 shebang 行下面，而是真正执行的第一句） - 避免硬编码路径：不要写
/usr/local/bin/docker-compose，而应确保 PATH 正确后再调用docker-compose - 验证方式：先执行
ssh user@host 'echo $PATH'，对比交互式登录后的输出
第一次连目标主机卡住不动，或者报 Host key verification failed
这是 SSH 在后台等待你确认主机指纹，但非交互式场景下没人按回车 —— 表现为命令“没反应”或超时失败，实际是卡在密钥确认环节。
- 临时解决（仅限可信内网）：
ssh -o StrictHostKeyChecking=no user@host 'command' - 长期方案：提前用
ssh-keyscan host >> ~/.ssh/known_hosts把公钥存入本地 known_hosts - 注意：
StrictHostKeyChecking=no不等于跳过认证，它只是自动接受新主机密钥；若主机密钥变更，此设置会静默忽略风险 - 如果还卡在
yes/no提示，说明目标主机 SSH 配置了CheckHostIP yes或 DNS 解析异常，需检查网络连通性和/etc/ssh/ssh_config
想执行复杂逻辑，又不想配密钥或装 sshpass？用 -t 参数模拟终端
某些命令（如 docker-compose run、sudo、带交互提示的脚本）依赖 TTY 才能正常工作，单纯 ssh host 'cmd' 会因缺少伪终端而失败或静默退出。
- 加上
-t强制分配 TTY：ssh -t user@host 'docker-compose run --rm alpine echo hello' - 需要多次交互时，加两次
-t -t（即-tt），提升兼容性 - 副作用：输出可能带控制字符（如光标移动），管道处理时需加
stdbuf -oL或用script -qec清洗 - 注意：
-t不能绕过密码输入，它只解决 TTY 缺失问题；密码仍需密钥、sshpass或expect支持
环境变量加载、TTY 分配、主机密钥确认——这三个点漏掉任何一个，都可能导致命令“看起来执行了”，实际却在本地跑、找不到命令、或中途挂起。别只盯着语法对不对，先看它到底在哪台机器上、以什么环境、有没有终端跑了。
